AREX Feed Article
Cursor 通报扩展市场恶意 Claude Code 扩展事件：至多 5,000 用户受影响，要求更新至 2.1.314
Cursor 于北京时间 10 月 30 日 15:46 通过 通报一起安全事件：一个遭篡改的 Claude Code VS Code 扩展曾通过 Cursor IDE 的扩展市场分发，确认涉事包为 Anthropic.claude-code 2.1.313，受影响用户至多 5,000 人。Cursor 强调，这一恶意版本并非 Anthropic 所开发；公司已移除该版本、一度整体关闭扩展市场，并在确认无进一步风险后恢复上线，同时要求所有客户将 Claude Code for VS Code 更新到 2.1.314。
两家安全团队先后发布独立验证： 的沙箱分析确认，扩展一经加载就会植入攻击者的 SSH（Secure Shell，加密远程登录协议）公钥、安装按操作系统定制的持久化机制，并尝试建立连回攻击者服务器的反向 SSH 隧道； 的静态分析则在合法代码之前找到一段 66 行的恶意加载器（loader）。Cursor 在公告中把受影响窗口锁定在 10 月 29 日约 2:27 ～ 13:35（太平洋时间），并称已与托管攻击者服务器的云服务商合作将其下线。
Cursor 扩展市场页面截图，红色「COMPROMISED!」标注来自 OpenSourceMalware 的分析文章。
从上架到下架：恶意版本在市场上的约 11 小时
涉事扩展不是抢注的仿冒品。 的报道称，恶意更新以扩展原有的合法发布者身份分发；OpenSourceMalware 的分析开篇写道：「Cursor 市场里的官方 Claude Code 扩展被入侵了。是的，你没听错。」
按 Cursor 公告的时间线，10 月 29 日约 2:27 ～ 13:35（太平洋时间，即北京时间 29 日 17:27 ～ 30 日凌晨 4:35），这个被篡改的 2.1.313 一直可以从 Cursor VS Code 扩展市场下载，前后约 11 小时；StepSecurity 整理的时间线把移除该版本并整体下线市场的动作标在太平洋时间 13:35。
处置动作在公告中列得很具体：检测到后立即移除恶意版本并阻止继续分发，随后出于谨慎整体关闭 VS Code 扩展市场；审计访问记录后确认没有其他扩展被篡改；轮换密钥、重建市场并恢复上线；与云服务商合作把攻击者服务器下线。公告注明，攻击者服务器「已不再运作」，反向 shell 和主机信息上报均已失效。
Cursor 的 X 帖文还划定了范围：事件不影响从其市场下载的其他扩展，也不影响「Grok Bot、Grok 或我们的其他 SpaceXSI 产品」（原文如此，The Hacker News 的引文同样保留了这一表述）。
后门如何运作：66 行 loader、SSH 密钥与 60 秒重试
OpenSourceMalware 拆包后发现，合法扩展代码之前被插入了一段 66 行的立即执行函数，它调用 Node.js 的进程、文件系统、操作系统、HTTP 和加密模块；扩展模块一加载就会运行，用户不需要发起任何 Claude 对话。这个包也没有声明 install、postinstall 之类的生命周期脚本，恶意行为全部发生在扩展运行时。StepSecurity 比对后还发现，恶意的 extension.js 比上一个干净版本大约多出 7 KB。
StepSecurity 用沙箱验证的行为链条是：加载后，扩展收集主机名、用户名、操作系统与 CPU 架构、用户主目录与工作目录、Git 全局邮箱，以及环境变量的名称。OpenSourceMalware 统计出上限是 40 个，筛的是名字里含 KEY、TOKEN、SECRET、PASS、AWS 或 GCP 的变量；公网 IP 则通过 ifconfig.me 和 api.ipify.org 查询。Cursor 的公告提醒，访问这两个公共服务本身不构成入侵指标。
随后，一把标注为 svc-telemetry 的 Ed25519 公钥被追加进 ~/.ssh/authorized_keys，注释刻意伪装成无害的管理账户。扩展接着尝试打开本地 SSH 服务、建立连往 134.209.82.225 的反向 SSH 隧道，并安装持久化：macOS 上是名为 com.apple.sysmond 的 LaunchAgent（macOS 启动代理），名字伪装成系统组件，实际与 Apple 无关；Windows 上是尝试以 SYSTEM 权限运行的计划任务 SysMon，失败则退回启动文件夹里的 sysmon.cmd。后台脚本约每 60 秒重试一次隧道，主机信息通过 HTTP POST 发往 134.209.82.225:8099 的 /beacon（回连信标）端点。
即使个别步骤失败，链条也不会中断。Cursor 在公告中说明：开启本地 SSH 服务需要管理员权限，恶意扩展在多数 macOS 与 Windows 主机上并没有这种权限，加上恶意代码自身的错误，这一步通常会失败，攻击者也就无法借隧道登录；但即便如此，扩展仍会添加 SSH 密钥、装好持久化、把主机信息发给攻击者，所以无论检查结果如何都应执行清理。
「环境变量的值不会直接出现在最初的 beacon 里，但它们的名字仍然能暴露这台机器配置了哪些云厂商、CI 系统和凭据类型。更重要的是，SSH 访问一旦成功，操作者就能直接翻查这个账户。」安全研究员 Paul McCarty 向 The Hacker News 解释。OpenSourceMalware 还注意到两点：注入代码几乎抑制了所有异常，让合法扩展照常加载、减少暴露迹象；它不下载任何额外载荷，网络行为仅限于公网 IP 查询、beacon 上传和 SSH 隧道本身。
OpenSourceMalware 绘制的 anthropic.claude-code@2.1.313 攻击链示意图。
自查、清理与更新到 2.1.314
Cursor 给出的排查范围很具体：凡在上述约 11 小时窗口内从 Cursor 市场安装或更新到 anthropic.claude-code 2.1.313 的用户，先按公告运行检查，确认是否中招。macOS 用户可以运行 grep -qs svc-telemetry ~/.ssh/authorized_keys 检查是否被写入过这把钥匙；Windows 用户用 PowerShell 检查 authorized_keys 和 administrators_authorized_keys 两个位置。
确认受影响后，公告列出的步骤依次是：在端点、网络与扩展安装遥测中排查公告附带的失陷指标；隔离有恶意载荷执行痕迹的主机；用官方脚本 remediate-macos.sh 或 remediate-windows.ps1 移除未授权密钥、持久化机制和隧道进程；最后从一台可信系统上轮换该主机能访问到的凭据与会话。公告特别提醒，单纯卸载扩展可能不够，载荷会释放独立的持久化脚本，卸载之后仍在运行。
版本修复方面，The Hacker News 报道，Anthropic 已把 2.1.314 发布到 Open VSX 与微软 Visual Studio Marketplace；StepSecurity 下载比对过 2.1.312 与 2.1.314 两个相邻版本，确认都不含公告列出的失陷指标，而 2.1.313 在 Open VSX 上已返回 not found，在微软市场的下载端点返回 404。
源头之争：从 Open VSX 到 Cursor 市场的更正
恶意版本最初被指向另一条分发路径。StepSecurity 的分析写道，2.1.313 曾被发布到开放扩展注册表 Open VSX，再经镜像同步进入 Cursor 市场；Open VSX 上的 Anthropic 命名空间自 2025 年起由一位 Anthropic 员工持有并发布，因此该版本是以合法发布者身份出现的。The Hacker News 的初版报道也把受影响注册表写作 Open VSX。
OpenSourceMalware 随后在分析页顶部加了一段更新：Cursor 已与他们取得联系，告知遭入侵的是 Cursor 市场本身，这就是恶意扩展的源头，而非 Open VSX。The Hacker News 也在文末加注，称事件已追溯到 Cursor VS Code 市场被入侵，初版说法作废。StepSecurity 的分析页面目前仍保留「发布到 Open VSX」的表述，两种口径的差异在现有公开材料中没有得到进一步说明。
至于攻击者如何把它送进市场，是发布者凭据泄露还是别的机制，各方都没有给出公开结论。The Hacker News 写道，攻击者引入这个未授权更新的具体方式仍不清楚；StepSecurity 的表述是，无论经由被窃的发布者凭据还是其他机制，目前均无公开定论。
一周多之前：OVHcloud CLI 五个版本被替换为窃密恶意软件
The Hacker News 把这次事件放进一条更大的脉络：就在一周多以前，攻击者替换了 OVHcloud 官方 CLI 五个已发布版本的二进制文件，换成窃取秘密的恶意软件，上传走的是一位合法 OVH 贡献者在 2026 年 3 月被劫持的 GitHub 账号，属于 GlassWorm 行动的一部分。
影响面还取决于这个扩展的体量。StepSecurity 介绍，Claude Code VS Code 扩展是 Anthropic 官方的 IDE 集成，仅 Open VSX 一处的累计下载就达数千万次；Open VSX 是 VSCodium、Cursor、Windsurf、Gitpod 等编辑器默认或可选使用的开放注册表，与微软的 Visual Studio Marketplace 相互独立。
OpenSourceMalware 联合创始人 Jenn Gile 向 The Hacker News 提醒：「下架得很快，但任何把 Claude Code 设为自动更新的用户，都可能已经把它装进了机器。」该团队还在分析中致谢安全研究者 Dean Hardcastle，是他实时目睹事件后向他们报的信。
截至发稿，几件事仍没有答案：攻击者如何进入 Cursor 市场、事件最初如何被发现，公告与帖文都没有交代；公告解释了后门在多数主机上会失败，但没有统计至多 5,000 名受影响用户中有多少机器真正让后门得手。Cursor 承诺的下一步，是直接联系受影响用户。